Windows VPN қай машина сертификатын ұсынады?

Бірнеше машина сертификаты, біреуі ұсынылады, ал шлюз оны қабылдамайды. Ештеңені жоймай, пулды эмитент пен EKU сүзгілерімен тарылтыңыз.

Сертификаттар орнатылған, жеке кілттер бар, бірақ туннель әлі де аутентификациядан өтпейді. Бірнеше сертификаты бар машина VPN-ге ешкім ойламаған кандидатты ұсынуы мүмкін, ал клиент шлюз қайсысын қабылдайтынын білудің жолы жоқ. Қалғандарын жою — машинадағы әрбір қызметке салдары тиетін таңдау саясаты. Оның орнына жарамды жиынды тарылтыңыз, содан кейін қай сертификат шын мәнінде ұсынылғанын растаңыз.

Бірнеше сертификат, біреуі ұсынылған

Машина сертификатымен аутентификацияланатын Windows-тың жергілікті VPN профильдері кандидаттарды шектейтін екі сүзгі ұсынады: эмитент сүзгісі және кеңейтілген кілт пайдалану сүзгісі. Олар клиент таңдай алатын жиынды азайтады. Олар жарамсыз сертификатты түзетпейді және қалғанын сервер қабылдайтынына кепілдік бермейді. Бұл шекараны өзгерістер журналына жазуға тұрарлық, өйткені келесі оқырман сүзгі шын мәнінде шешкенінен көбірек шешті деп болжайды.

Олар шешетін ақау тар және нақты. Қате органнан алынған жарамды сертификат немесе шлюз қабылдамайтын мақсатқа берілген сертификат көзделгеннен бұрын таңдалады, бұл сау қойманың қасында аутентификация сәтсіздігін тудырады. Екі сүзгі мұны пайымдауға жеткілікті кішкентай жиынға айналдырады, ал осы беттің қалған бөлігі оларды ретімен қолданады.

Профильді өңдеу алдында қойманы тексеріңіз

Кандидаттарды және олардың қасиеттерін профиль шын мәнінде пайдаланатын қоймада тізіңіз. Мұнда ештеңе жеке кілтті экспорттамайды, және ешбір сертификат машинадан шығуға міндетті емес:

Get-VpnConnection -Name 'Office' | Select-Object Name, TunnelType, AuthenticationMethod
Get-ChildItem Cert:\LocalMachine\My | Select-Object Subject, Issuer, Thumbprint, NotAfter, HasPrivateKey, EnhancedKeyUsageList

Шешім тәуелді қасиеттер үшін шығысты оқыңыз: пайдалануға жарамды жеке кілт, қолайлы жарамдылық терезесі, көзделген эмитент және кеңейтудегі мақсаттар. Сертификат бір уақытта бар болуы, дұрыс тіркелуі және осы қосылым үшін пайдасыз болуы мүмкін. Саусақ ізі бағаны — кейін салыстыратын нәрсе, сондықтан шығысты сақтаңыз.

Өңдеу алдында профильді және оның ауқымын растаңыз, өйткені LocalMachine ішіндегі машина сертификаты, пайдаланушының EAP-TLS сертификаты және қолданбаның өз жеке кілт қоймасы үш түрлі контекст. Басқарылатын профиль сонда болса, барлық пайдаланушылар ауқымын және әкімшілік контексті пайдаланыңыз. Ұқсас атаумен екінші профиль жасау қосылым шын мәнінде қандай конфигурацияны пайдаланатынын жасырады.

Эмитент сүзгісі объектіні қалайды

Эмитент параметрі сертификат объектісін күтеді, көрсетілетін атауды емес және жалаң саусақ ізі жолын да емес. Бекітілген органның сертификатын өзіңіз тексерген жолдан, ол тиесілі қоймаға ұсыныңыз:

$issuerPath = Read-Host 'Certificate-provider path for the approved issuer CA'
$issuer = Get-Item -LiteralPath $issuerPath
Set-VpnConnection -Name 'Office' -MachineCertificateIssuerFilter $issuer

Клиенттің өз жапырақ сертификатын, ұқсас субъектісі бар басқа органды немесе жаңадан жасалған тамырды параметр түрі қабылдайды деп қана алмастырмаңыз. Екі орган бір субъект жолын бөлісе алады, сондықтан объект мәтіннен маңыздырақ. Microsoft cmdlet анықтамасы екі кіріс түрін де құжаттайды, және оны бірінші өңдеуден бұрын оқыған жөн, сәтсіз әрекеттен кейін емес.

Пайдалану сүзгісі OID жолын қалайды

Кеңейтілген кілт пайдалану параметрі OID жолдарын қабылдайды, ал клиент аутентификациясының мақсаты 1.3.6.1.5.5.7.3.2. Оны қолдану кандидаттарды осы мақсатты таситын сертификаттармен шектейді, бұл клиент аутентификациясы бар орналастыруға дәл керек нәрсе:

Set-VpnConnection -Name 'Office' -MachineCertificateEKUFilter '1.3.6.1.5.5.7.3.2'

Мән массив, сондықтан бірнеше мақсат қажет орналастыру оларды тізім ретінде береді. Сүзгінің істей алмайтыны — сертификатқа мақсат қосу: бұл қол қойылған кеңейтулерге қарсы бағаланатын таңдау өрнегі, және ешбір сүзгі оларды қайта жазбайды, сондықтан мақсаты жоқ сертификат тіркеуден қайта өтуі керек.

Пайдаланушы сертификаттарының EAP конфигурациясын машина сертификаттарын сүзуден бөлек ұстаңыз, өйткені олар әр жерде тұрады және біреуіндегі өзгеріс екіншісіндегі ақауды сирек түсіндіреді. Сондай-ақ профиль доменге немесе құрылғыларды басқаруға тиесілі ме, соны тексеріңіз, өйткені жергілікті өңдеу келесі саясат жаңартуында ешкім машинаға тиіспей-ақ алмастырылуы мүмкін.

Клиент қай сертификатты ұсынғанын дәлелдеңіз

Жаңа қосылым орнатып, көзделген сәйкестік үшін клиент пен сервердің аутентификация дәлелдерін оқыңыз. Сүзгілерді бірнеше сертификат қанағаттандырса, нәтиже бекітілген жапырақ емес, кішірек пул, сондықтан келесі әрекет басқа мүшені таңдауы мүмкін. Сол дәлелдерде көрінетін саусақ ізін жазып, қоймадан жазғаныңызбен салыстырыңыз.

Сәтті команда — сәтті аутентификация емес. Жазуға тұрарлық нәтиже — көзделген сертификат басқарылатын саясат бойынша аутентификацияланады, ал әрбір байланыссыз сертификат оған тәуелді қызметтер үшін қолжетімді болып қалады. Ақау екі сүзгіден де аман өтсе, келесі қарайтын жер — бүкіл профиль емес, қалған кандидаттар.

Қатысты мақалалар